Un message Booking.com réclame votre carte : vrai ou faux ?

↑ Ce conseil fait partie du guide : Arnaques et hameçonnage

Message Booking.com suspect : que faire ?

Un message qui réclame une carte bancaire pour « confirmer » ou « revalider » une réservation Booking.com déjà faite ne vient jamais légitimement de Booking.com ou de l'hôtel, quels que soient les détails exacts qu'il affiche. Booking.com l'écrit lui-même : il ne demande « jamais de partager les coordonnées d'une carte bancaire par e-mail, par téléphone, par SMS ou par WhatsApp ». Avant de cliquer, ouvrez l'application ou le site Booking.com vous-même et comparez à votre réservation réelle : si rien n'y correspond, le message est un faux, même s'il connaît vos dates de séjour.

1. Ne cliquez sur aucun lien du message, même « pour vérifier » ou « pour garder la réservation »
2. Ouvrez l'application Booking.com ou tapez booking.com vous-même, jamais depuis le message
3. Comparez dans Mes réservations les dates, le montant et les messages réellement reçus
4. Rien ne correspond : contactez l'hôtel avec un numéro trouvé vous-même, signalez le message, ne répondez pas
5. Carte déjà donnée : contactez votre banque dans l'heure

Pourquoi le message connaît vos vraies dates de séjour

C'est ce qui rend cette arnaque plus convaincante que la plupart des faux messages de marque : le nom de votre hôtel, vos dates de séjour exactes, votre nom et parfois le montant précis de la réservation. Ces informations ne sont pas devinées : elles viennent d'un vrai compte, réellement piraté — pas le vôtre, celui de l'établissement.

Le mécanisme documenté par Microsoft Threat Intelligence, qui suit ce groupe sous le nom Storm-1865, commence côté hôtel : un employé reçoit un mail prétendant venir de Booking.com — un avis négatif à traiter, une demande de réservation, une « vérification de compte ». Le lien ou la pièce jointe ouvre un faux captcha, puis une instruction à copier-coller une commande dans la fenêtre « Exécuter » de Windows : c'est le même piège ClickFix que celui décrit dans la fausse mise à jour Windows ou Chrome, avec le même effet — personne ne clique « Installer », c'est l'employé lui-même qui exécute la commande, donc aucun antivirus ne s'interpose avant coup. Plusieurs logiciels voleurs de mots de passe circulent dans cette campagne, documentés sous les noms XWorm, Lumma Stealer, VenomRAT, AsyncRAT, DanaBot et NetSupport RAT ; tous ramènent le même résultat : les identifiants de l'extranet Booking.com de l'hôtel, livrés à l'escroc.

Une fois connecté à l'extranet de l'établissement, l'escroc voit les réservations à venir comme n'importe quel réceptionniste : nom du client, dates, montant, numéro de téléphone. Il n'a plus qu'à écrire — en se faisant parfois passer pour une personne précise, un prénom et un poste (« chargée des relations clients »), documenté sur plusieurs messages recensés par la presse — pour réclamer une « revalidation » de carte sous 24 à 48 heures, sans quoi la réservation serait annulée.

Cette campagne n'est pas un épisode isolé : active depuis décembre 2024 selon Microsoft, elle s'est étendue en 2026 à plus de dix pays européens, avec environ six campagnes actives repérées visant sept groupes hôteliers distincts d'après la presse spécialisée. La France figure parmi les pays les plus ciblés d'Europe de l'Ouest.

Quatre canaux, zéro différence

Le message peut arriver par WhatsApp, par SMS, par e-mail, ou directement dans la messagerie interne de l'application Booking.com — celle que vous consultez normalement pour échanger avec un établissement. Aucun de ces quatre canaux n'est plus fiable qu'un autre, parce que la faille ne se situe à aucun des deux bouts de la conversation habituelle : elle se situe chez l'hôtel, en amont. Un message reçu dans la vraie messagerie Booking.com peut donc être tout aussi faux qu'un SMS reçu d'un numéro inconnu.

Booking.com est explicite sur ce point dans ses consignes de sécurité aux voyageurs : l'entreprise ne demandera « jamais » de partager des coordonnées de carte bancaire par e-mail, téléphone, texto ou WhatsApp, et ne réclamera jamais un virement différent des modalités de paiement indiquées dans la confirmation de réservation. Un repère simple pour l'e-mail : une adresse réellement envoyée par Booking.com se termine toujours par le domaine booking.com, quel que soit le sous-domaine utilisé devant — jamais un domaine différent, même ressemblant.

Il n'existe pas de cinquième canal plus officiel : aucune demande de ce genre n'arrive non plus par courrier postal, une réservation d'hôtel se gérant uniquement en ligne du début à la fin. Le cadenas affiché par le navigateur sur la page ouverte depuis le lien ne prouve rien de plus : il signale un chiffrement SSL, c'est-à-dire que la connexion est illisible en transit — pas que le site appartient à Booking.com. N'importe quelle page copiée la veille, y compris par l'escroc, affiche ce même cadenas en quelques minutes, sans rapport avec la légitimité de son propriétaire.

Vérifier dans l'application, jamais dans le message

La bonne vérification ne se fait jamais à partir du message : ni en cliquant son lien, ni en composant un numéro qu'il affiche. Ouvrez l'application Booking.com, ou tapez booking.com à la main dans le navigateur, puis allez dans Mes réservations : la conversation réelle avec l'hôtel, si elle existe, y figure intégralement ; un message envoyé uniquement par SMS ou WhatsApp n'y apparaîtra jamais. Cet espace personnel s'appelle, selon l'écran, Mon compte ou Votre espace voyageur : c'est là, et nulle part ailleurs, que vivent vos vraies réservations. Comparez ensuite les dates et le montant annoncés à ceux de votre confirmation de réservation d'origine, reçue le jour de la réservation, avant toute alerte.

Ce que dit le message	Ce qui le confirme, ou l'infirme
Le paiement doit être « revalidé » sous 24 à 48 h	L'onglet Mes réservations de l'application affiche le même message, mot pour mot : sinon, il n'existe pas pour Booking.com.
La réservation sera annulée faute de réponse	Votre confirmation de réservation d'origine indique déjà la politique d'annulation : elle ne change jamais par un message reçu en cours de séjour.
Un moyen de paiement a expiré ou doit être mis à jour	Le mode de paiement choisi à la réservation (carte en ligne, ou « à régler sur place ») est fixé une fois pour toutes dans la confirmation.
Un numéro de téléphone est fourni pour « confirmer »	Comparez-le au numéro de l'hôtel trouvé par vous-même, ou à celui de votre confirmation : un numéro différent trahit le message.

Le domaine réel du lien, et non son apparence, reste le dernier contrôle : une page copiée peut reproduire le logo et les couleurs de Booking.com au pixel près, mais l'adresse affichée dans la barre du navigateur doit se terminer exactement par booking.com, sans mot ni tiret ajouté avant. Pour un message reçu par e-mail, l'en-tête complet confirme ou contredit l'adresse affichée à l'écran, qui se falsifie en quelques secondes.

Pourquoi ce n'est jamais par lien

Une réservation Booking.com suit toujours un des trois modes de paiement fixés dès la réservation, inscrits dans la confirmation du jour : paiement en ligne immédiat par carte bancaire, paiement sur place à l'arrivée, sans aucune carte prélevée avant, ou tarif non remboursable prépayé. Ces trois modes couvrent l'essentiel des paiements réellement demandés par Booking.com ; aucun quatrième mode, surgi après coup dans un message, n'existe. Si vous avez réservé une chambre « à régler sur place », aucune carte ne vous sera redemandée en cours de route : c'est fixé dès la confirmation, et ça ne change jamais par un message reçu ensuite. Un message qui réclame malgré tout une « revalidation » contredit donc son propre scénario, quel que soit le mode réellement choisi.

C'est aussi pour cela que le lien est la pièce centrale de l'arnaque : Booking.com ne fait jamais payer, ni repayer, un séjour par un lien envoyé après la réservation. Tout paiement en ligne légitime se fait dans l'application ou sur le site, à l'initiative du client, pas en suivant un lien reçu. Le même principe protège les ventes entre particuliers : sortir du circuit officiel pour « valider » un paiement est toujours le signe qui trahit. Le lien ne s'arrête d'ailleurs pas toujours à la carte : une fois cliqué, vous êtes redirigé vers un formulaire qui demande souvent, en plus, vos informations personnelles complètes — nom, votre adresse postale, votre adresse mail — pour donner à la page un air de démarche officielle. Aucune de ces informations n'est nécessaire : un hôtel qui connaît déjà votre réservation connaît déjà votre nom et votre adresse mail.

Le numéro de carte, sa date d'expiration et son cryptogramme à trois chiffres suffisent, seuls, à tenter un paiement ailleurs, sur un site qui n'exige pas de validation supplémentaire. C'est ce que vise l'escroc, pas votre compte Booking.com lui-même : aucune carte bancaire n'est stockée sur votre compte avec un accès direct à de l'argent, contrairement à un porte-monnaie électronique. Carte bancaire, carte bleue ou carte de crédit : quelle que soit la marque de vos cartes bancaires, leurs coordonnées bancaires ne circulent jamais autrement que par le formulaire de paiement de l'application, au moment choisi par vous. Le code confidentiel à quatre chiffres de la carte — parfois appelé code secret — n'existe lui que devant un terminal de paiement ou un distributeur : aucune page web légitime ne le demande, pour une réservation d'hôtel comme pour n'importe quel autre achat. Autre différence utile : contrairement aux abonnements type Netflix ou carte SNCF Connect, qui se renouvellent et redemandent parfois un paiement récurrent, une réservation d'hôtel reste un paiement unique — il n'y a donc, par construction, rien à « revalider » après la réservation initiale.

Vous avez déjà cliqué, ou donné votre carte

L'ordre des gestes compte plus que la vitesse. Il dépend de ce qui a été donné.

1. Un numéro de carte et un cryptogramme ont été donnés : opposition immédiate, par le numéro au dos de votre carte ou dans l'application bancaire, puis contestation écrite. Sept signes confirment qu'une carte est réellement compromise, utiles pour surveiller les semaines qui suivent.
2. Un débit est déjà apparu sur votre compte bancaire, parfois deux fois le même montant : toute opération que vous n'avez pas autorisée se rembourse sur simple demande ; les articles L133-18 et L133-19 du code monétaire et financier font porter la charge de la preuve à la banque, pas au client, pour une fraude à distance. Vérifiez aussi, depuis l'espace client de votre banque, qu'aucun autre prélèvement inhabituel n'a suivi dans les jours qui précèdent ou qui suivent.
3. Vous avez saisi votre mot de passe Booking.com sur la page du lien : changez-le depuis l'application, en vous connectant vous-même, puis déconnectez les autres sessions dans les réglages du compte.
4. Rien n'a encore été donné, mais le doute persiste : ne faites pas opposition par précaution : cela immobilise vos moyens de paiement plusieurs jours pour un risque nul tant qu'aucun numéro n'est sorti.

Signaler, à l'hôtel et à Booking.com

Prévenez l'hôtel avec un numéro trouvé par vous-même — un moteur de recherche, ou votre confirmation de réservation d'origine — jamais celui donné par le message : si son compte est réellement compromis, il l'ignore peut-être encore, et d'autres clients reçoivent le même message en ce moment. Signalez ensuite le message au service clients de Booking.com depuis l'application ou le site officiel, jamais par les coordonnées données dans le message suspect.

• Au 33700 si le message est arrivé par SMS.
• Sur Pharos si vous avez ouvert la fausse page de paiement.
• Sur cybermalveillance.gouv.fr pour la démarche adaptée à votre cas, et pour obtenir de l'aide si un ordinateur professionnel a servi.
• En gendarmerie ou en commissariat dès qu'un paiement a été débité : c'est la pièce que la banque réclamera.

Si de l'argent est parti, les bons guichets diffèrent selon le préjudice, et trois d'entre eux acceptent une plainte en ligne.

Ce qui ne sert à rien

• Répondre au message, même pour demander des preuves. Cela confirme seulement que l'adresse ou le numéro est lu par un humain.
• Appeler le numéro indiqué dans le message. L'escroc contrôle ce numéro-là : il confirmera tout ce qu'il a déjà écrit.
• Annuler soi-même la réservation par précaution. Une annulation hâtive peut coûter un tarif non remboursable, pour un risque qui n'était peut-être pas réel.
• Cliquer « pour vérifier seulement », sans rien saisir. Certaines pages copient l'identité visuelle de Booking.com au pixel près ; la vérification se fait avant de cliquer, pas après.

Pour un mécanisme très proche sur une autre marque, le faux mail Netflix suit un scénario presque identique ; pour une fausse indemnisation après un trajet raté, le faux mail SNCF Connect en est une autre variante.

Questions fréquentes

Le message arrive dans la messagerie Booking.com elle-même, pas par mail externe : est-ce plus fiable ?

Non. Quand le compte d'un hôtel partenaire est piraté, l'escroc écrit depuis ce compte réel, par la messagerie interne de Booking.com comme par n'importe quel autre canal. Le canal ne garantit rien : seule la vérification faite depuis votre propre application, ouverte par vous, compte.

J'ai réservé une chambre « à régler sur place », sans paiement en ligne : pourquoi me redemande-t-on une carte ?

C'est un signe fort d'arnaque. Le mode de paiement d'une réservation est fixé une seule fois, au moment de la réservation, et figure dans la confirmation reçue ce jour-là. Une réservation « à régler sur place » ne redemande jamais de carte en cours de séjour, par aucun canal.

Le message connaît mes vraies dates de séjour et mon nom exact : comment est-ce possible si ce n'est pas vraiment l'hôtel ?

Parce que c'est, au départ, vraiment le compte de l'hôtel : des campagnes documentées depuis décembre 2024 piègent le personnel hôtelier avec un faux e-mail, puis un logiciel voleur de mots de passe qui livre l'accès au compte Booking.com réel de l'établissement. L'escroc lit alors vos vraies réservations avant de vous écrire.

J'ai déjà cliqué le lien et saisi ma carte : que faire dans les minutes qui suivent ?

Opposition immédiate auprès de votre banque, par le numéro au dos de la carte ou dans l'application bancaire, puis contestation écrite des opérations non autorisées. Elles se remboursent ensuite sur simple demande : la charge de la preuve revient à la banque, pas à vous.

Comment savoir si le numéro de téléphone indiqué dans le message est bien celui de l'hôtel ?

Il ne faut jamais composer le numéro affiché dans le message : un escroc contrôle aussi ce numéro-là. Cherchez les coordonnées de l'établissement par un moteur de recherche ou dans votre confirmation de réservation d'origine, reçue avant toute alerte, puis comparez les deux numéros.

Le lien contient bien « booking.com » dans l'adresse : est-ce suffisant pour y faire confiance ?

Non. Un sous-domaine ou un mot ajouté avant ou après « booking.com » suffit à tromper un coup d'œil rapide, et la page copiée peut être identique au pixel près. Seule l'adresse qui se termine exactement par booking.com, sans rien ajouté avant, correspond au vrai site.

Par peur de perdre ma réservation, j'ai annulé moi-même et réservé un autre hôtel : ai-je bien fait ?

Pas forcément. Une réservation réelle ne s'annule jamais par la menace d'un message non vérifié, et l'annulation peut vous faire perdre un tarif non remboursable alors que rien ne la justifiait. Vérifiez d'abord dans l'application avant de toucher à la réservation elle-même.

À lire aussi : le faux mail Netflix · le faux mail SNCF Connect · l'arnaque à la location de vacances.